Allforiad NFS wedi'i gloi i gyfeiriad VPN: beth nad yw'n ei brofi
Mae rheol allforio'n gwirio o ble y daeth y pecyn; mae AUTH_SYS yn honni UID lleol ac mae Kerberos yn dilysu defnyddiwr. Penderfynwch pa un sydd ei angen ar eich gwasanaeth ffeiliau.
Mae gwesteiwr yn allforio cyfeiriadur i gyfeiriad VPN, mae'r mowntio'n llwyddo, ac mae'r dyluniad yn cael ei ysgrifennu fel un dilys. Yr hyn y mae'r rheol honno'n ei gyfyngu mewn gwirionedd yw o ble y mae'r pecynnau'n ymddangos eu bod yn dod. A yw'r person sy'n gyrru'r gweithrediad ffeil yr un ag y mae'n honni bod ynddo, mae hynny'n dibynnu ar flas diogelwch NFS, ac yn y rhan fwyaf o allforion o'r math hwn ni newidiodd neb ef o'r rhagosodiad.
Gall tair hunaniaeth ymddangos mewn un cais
Mae'r cymar VPN yn cario hunaniaeth gofrestredig fel tystysgrif cleient neu allwedd cymar. Mae'r pecyn IP mewnol yn cario cyfeiriad ffynhonnell. Mae'r gweithrediad ffeil yn cario pa bynnag dystysgrifau defnyddiwr y mae ei fecanwaith NFS yn eu darparu. Mae dyluniad sy'n trin y cyfeiriad fel dirprwy ar gyfer y tri wedi tybio'n dawel y rhan y roedd angen ei gwirio.
| Identity | What it proves | What it does not |
|---|---|---|
| VPN peer | Which peer was accepted by the tunnel | Which user runs on that machine |
| Inner source address | Where the packet appears to originate | That only the intended client can use it |
| NFS credential | What the file service believes about the caller | Anything, if the flavour only asserts local IDs |
Ysgrifennu'r tair rhes honno yw'r ymarferiad cyfan. Mae'r rhan fwyaf o'r ddadl ynghylch a yw allforiad yn ddiogel yn dymchwel unwaith y mae'n amlwg ym mha res y mae pob rheolaeth yn byw.
Mae perchnogaeth cyfeiriad yn fanylyn gweithredu
Gall porthglwyd aseinio cyfeiriad twnnel i gymar a dderbyniwyd, neu awdurdodi isrwydwaith llwybredit ar ei gyfer. A yw'r gweithrediad wedyn yn gwrthod pecyn y mae ei ffynhonnell fewnol yn perthyn i gleient arall, mae hynny'n briodwedd o'r gweithrediad hwnnw, ac mae'n werth ei wirio yn hytrach na'i dybio.
Mae cod gweinydd gofod defnyddiwr Community traddodiadol OpenVPN er enghraifft yn gallu gwrthod ffynhonnell sy'n gysylltiedig â chleient arall cyn i'r pecyn gael ei ddanfon drwy'r ddyfais TUN. Mae hynny'n wirio perchnogaeth cyfeiriad â gwerth gwirioneddol, ac nid yw eto'n ddilysu defnyddiwr NFS, oherwydd nid yw'n dweud dim am ba gyfrif sy'n cyflawni'r gweithrediad.
Mae cyfieithu ffynhonnell yn erydu hyd yn oed hynny. Gall porthglwyd NAT gyflwyno pob cleient fel un cyfeiriad, ac ar y pwynt hwnnw ni all rheol allforio wahaniaethu rhwng y bobl y tu ôl iddo. Yna mae manylder ymddangosiadol y rheol yn dod yn ffuglen a gynhelir gan y diagram. Os yw'r allforiad yn bwysig, cadwch y cyfeirio'n eglur yn hytrach na gadael i gyfieithydd benderfynu pwy sy'n cyfrif fel pwy.
Darllenwch y blas diogelwch cyn ymddiried yn yr allforiad
Mae canllaw NFS Red Hat yn gwahanu sec=sys, sy'n defnyddio UID a GID UNIX lleol drwy AUTH_SYS, oddi wrth y moddau Kerberos. Mae krb5 yn ychwanegu dilysu defnyddiwr, mae krb5i yn ychwanegu amddiffyniad cyfanrwydd, ac mae krb5p yn ychwanegu amddiffyniad preifatrwydd i'r traffig.
Mae tystysgrif AUTH_SYS yn cynnwys meysydd fel UID y galwr ac adnabyddwyr grŵp, ac mae RFC 5531 yn rhybuddio'n blaen nad yw'r blas hwn yn darparu unrhyw ddiogelwch ynddo'i hun ac yn dibynnu ar amddiffyniad allanol. Mae ei redeg o fewn VPN yn darparu amddiffyniad i'r cludiant ac yn newid dim yn y gosodiad y tu mewn i'r pecyn.
exportfs -v
showmount -e nfs.example.internalDarllenwch y blas yn yr allbwn hwnnw cyn darllen y rhestr cleientiaid. Gall allforiad sy'n ymddangos yn gyfyngedig fod yn gyfyngedig drwy gyfeiriad yn unig tra bo pob galwr yn dal i honni unrhyw UID a fyn.
Dewiswch y model, yna cadwch y caniatadau
Dewiswch y model dilysu gwasanaeth ffeil sy'n addas i'r cleientiaid yr ydych yn eu gweinyddu mewn gwirionedd. Mae Kerberos angen hunaniaeth a defnydd gwasanaeth y tu ôl iddo, felly nid yw newid un opsiwn mowntio yn ymfudo a bydd yn methu'n syml nes bod parth Kerberos, prifysgogion a chyflychau allwedd yn bodoli.
O dan y naill fodel a'r llall, cadwch y caniatadau allforio a'r awdurdodiad system ffeiliau sy'n cyfyngu ar yr hyn y caiff y prifysgog dilys ei wneud. Mae dilysu'n dweud wrthych pwy sy'n gofyn; mae awdurdodi'n penderfynu a ddylai'r ateb fod yn ie. Cwympo'r ddau hynny'n un gosodiad yw sut y mae ymfudiad yn pen draw'n rhoi mwy nag a roddai'r hen ffurfweddiad.
Defnyddiwch y rheol gyfeiriad at ei gwir bwrpas
Mae cyfyngu'r gwasanaeth i'r llwybr a'r ffynonellau cymeradwy yn dal yn werth chweil, gan gynnwys polisi mewnbwn y gwesteiwr pan fo terfynell VPN a gweinydd NFS yn rhannu peiriant. Nid yw rheolau sy'n anfon traffig yn llywodraethu ceisiadau a anelir at wasanaeth sy'n rhedeg yn lleol ar yr un gwesteiwr. Mae'r bwlch hwnnw'n esbonio nifer syndod o allforion yr oedd bwriad iddynt fod yn breifat. Gwiriwch y polisi mewnbwn lleol yn eglur yn hytrach na thybio bod rheolau'r twnnel yn ei gynnwys.
Gwiriwch na all rhyngwyneb arall neu borthglwyd â chyfieithu ffynhonnell fodloni'r rheol yn annisgwyl, a chymerwch hynny'n rheswm i sefydlu tarddiad yn hytrach nag yn haeriad bod ffugio cyfeiriad yn gwarantu mownt sy'n gweithio.
Rhedwch dri achos derbyn yn hytrach nag un. Dechreuwch â chleient cymeradwy yn gweithredu fel defnyddiwr cymeradwy, yna ailadroddwch o gymar na chafodd ei gymeradwyo erioed, yna ceisiwch rywbeth nad yw'r defnyddiwr cymeradwy'n cael ei wneud o hyd. Gofynnwch wedyn beth sy'n newid os bydd cleient awdurdodedig yn cael ei gyfaddawdu, oherwydd nid yw dilysu cludiant yn gwneud pob proses ar y peiriant hwnnw'n ddibynadwy. Mae tystysgrif a ddwynwyd a chyfrif lleol chwilfrydig yn wahanol broblemau â gwahanol reolaethau.